PHP corrige duas vulnerabilidades críticas descobertas por modelos de IA
A equipe de desenvolvimento do PHP lançou em 21 de outubro atualizações emergenciais que corrigem duas vulnerabilidades críticas. As falhas permitiam que um invasor executasse código arbitrário remotamente no servidor, sem qualquer autenticação. Foram atualizadas as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
As vulnerabilidades foram identificadas por especialistas em segurança da informação com o auxílio de modelos de inteligência artificial. Segundo a OpenAI, a busca foi realizada no âmbito da iniciativa Patch the Planet. Foram afetadas as instalações do PHP que processam requisições web, e o nível de risco dependia da configuração de cada servidor.
Uma das falhas está relacionada à corrupção do estado interno do sistema em situações de falta de memória. A outra decorre do uso de dados obsoletos após a liberação de memória. Os desenvolvedores do PHP apontaram como cenário mais perigoso a exploração por meio do mod_php, em que o ataque podia começar antes mesmo da execução do código da aplicação. Anteriormente, já havíamos informado sobre a correção de duas vulnerabilidades críticas no PHP e sobre os primeiros ataques detectados.
A preparação das correções levou cerca de dois meses. Participaram os desenvolvedores do PHP, especialistas das empresas Calif, Wiz e Cloudflare, além de representantes da Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) e da Casa Branca. As partes coordenaram o prazo de divulgação para que desenvolvedores e fornecedores de software pudessem lançar os patches antes do anúncio público.
Recomenda-se enfaticamente que desenvolvedores e administradores de servidores atualizem o PHP imediatamente para as versões corrigidas. Para verificar as versões instaladas, a OpenAI publicou no GitHub a ferramenta de diagnóstico php2shell-checker.
A OpenAI também propõe consolidar o procedimento adotado como protocolo padrão para a divulgação de vulnerabilidades críticas encontradas por IA. Segundo a empresa, um procedimento unificado permitirá que desenvolvedores, pesquisadores de segurança e órgãos governamentais troquem informações com mais rapidez e lancem correções antes que os detalhes técnicos se tornem públicos.
